拒绝服务攻击-(精选·公开·课件).pptVIP

* Land 攻击发生的条件是攻击者发送具有相同 IP 源地址、目标地址和 TCP 端口号的伪造 TCP SYN 数据包信息流。必须设置好 SYN 标记。其结果是该计算机系统将试图向自己发送响应信息，而受害系统将会受到干扰并会瘫痪或重启。最近的研究发现 Windows XP SP2 和 Windows 2003 的系统对这种攻击的防范还是非常薄弱的。事实上，Sun 的操作系，BSD 和 Mac 对这种攻击的防范都是非常薄弱的，所有这些系统都共享基于 TCP/IP 协议栈的 BSD。 　　服务供应商可以在边缘路由器的进入端口上安装过滤器对所有入内数据包的 IP 源地址进行检查，这样就可以阻止发生在会聚点后的 LAND 攻击。如果该源地址的前缀在预先规定的范围之内，则该数据包被转发，否则被丢弃。 * * * 整个攻击包括四方面主机：攻击者客户端、 Handler（主控端）、 Agent（代理端）以及目标主机。发动DDoS攻击时，攻击者在Client（客户端）操纵攻击过程。每个Handler（主控端）是一台已被入侵并运行了特定程序的系统主机。每个主控端主机能够控制多个Agent（代理端）。每个代理端也是一台已被入侵并运行特定程序的系统主机。每个响应攻击命令的代理端会向被攻击目标主机发送拒绝服务攻击数据包。 * 拒绝服务攻击技术概况 原理 特点 难确认性 隐蔽性 资源有限性 软件复杂性 拒绝服务（Dos－Denial of Service) DoS的攻击方式有很多种，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务。 或者说是利用合理的服务请求占有过多的服务资源，致使资源耗尽或是资源过载，造成服务器瘫痪，其他用户无法享用该服务资源。 拒绝服务攻击技术分析 拒绝服务攻击的基本模式： 资源消耗型 消耗网络带宽 消耗磁盘空间 消耗CPU和内存资源 配置修改型 基于系统缺陷型 物理实体破坏型 拒绝服务攻击分类 使系统或网络瘫痪 发送少量蓄意构造的数据包，使系统死机或重新启动。 主要利用系统软件的Bug，一旦Bug被修正，攻击就不起作用 系统恢复工作一般需要管理员的干预 使系统或网络无法响应正常的请求 发送大量的垃圾数据，使得系统无法处理正常的请求 比较难杜绝 恢复系统不需要或只需要少量的人工干预 SYN Flood原理 正常的三次握手建立通讯的过程 SYN （我可以连接吗？） ACK （可以）/SYN（请确认！） ACK （确认连接） 发起方 应答方 SYN Flood原理 SYN （我可以连接吗？） ACK （可以）/SYN（请确认！） 攻击者 受害者 伪造地址进行SYN请求 为何还没回应 就是让你白等 不能建立正常的连接 UDP flood 原理 UDP 淹没攻击是导致基于主机的服务拒绝攻击的一种。UDP 是一种无连接的协议，而且它不需要用任何程序建立连接来传输数据。当攻击者随机地向受害系统的端口发送 UDP 数据包的时候，就可能发生了 UDP 淹没攻击。当受害系统接收到一个 UDP 数据包的时候，它会确定目的端口正在等待中的应用程序。当它发现该端口中并不存在正在等待的应用程序，它就会产生一个目的地址无法连接的 ICMP 数据包发送给该伪造的源地址。如果向受害者计算机端口发送了足够多的 UDP 数据包的时候，整个系统就会瘫痪。 Smurf攻击示意图 第一步：攻击者向被利用网络A的广播地址发送一个ICMP 协议的’echo’请求数据报，该数据报源地址被伪造成10.254.8.9 第二步：网络A上的所有 主机都向该伪造的源地址 返回一个‘echo’响应，造成该主机服务中断。 Smurf Smurf B类网络 攻击者冒充服务器向一个B类网络的广播地址发送ICMP echo包 整个B类网络的所有系统都向此服务器回应一个icmp reply包 Ping of Death Ping of Death 发送长度超过65535字节的ICMP Echo Request 数据包 导致目标机TCP/IP协议栈崩溃，系统死机或重启 现有的操作系统基本上都能正确处理这种异常数据包，不会出现问题 “拒绝服务”的例子: LAND 攻击原理 攻击者 172.18.1.1 Internet Code 目标 204.241.161.12 欺骗性的 IP 包 源地址 204.241.161.12 Port 139 目的地址 204.241.161.12 Port 139 TCP Open G. Mark Hardy “拒绝服务”的例子: LAND 攻击 攻击者 172.18.1.1 Internet Code 目标 204.241.161.12 IP包欺骗 源地址 204.241.161.12 Port 139 目